ISO 27001 a ISO 9001 v SharePointu: co doložíte vestavěnými nástroji a kde to nestačí
Obě normy chtějí řízené dokumentované informace: schválené, ve správné verzi, dostupné a chráněné. SharePoint to z velké části umí bez nákupu čehokoli. Jak nastavit knihovnu pro řízenou dokumentaci, co ukážete auditorovi a co SharePoint sám nedoloží.
Hlavní body jednoduše
- Normy ISO 27001 a ISO 9001 chtějí, aby dokumenty byly schválené, v platné verzi, dostupné těm, kdo je potřebují, chráněné a uchované po stanovenou dobu.
- Většinu z toho SharePoint zvládne bez dalšího nákupu: schvalování, historii verzí, přístupová práva přes skupiny i záznam o tom, kdo s dokumentem co dělal.
- Stačí jeden samostatný web se třemi rolemi. Autoři píšou koncepty, schvalovatelé je schvalují a ostatní čtou jen schválené znění.
- Dvě věci zkontrolujte hned. Záznam o tom, kdo co dělal, musí v plánech Business jednou zapnout správce, a uchovávání dokumentů na roky vyžaduje vyšší licenci (Business Premium nebo E3).
- Jednu věc SharePoint sám nedoloží: že se lidé se směrnicí seznámili. Otevření dokumentu ještě neznamená, že ho člověk přečetl – a auditor se na to ptá.
Třetí díl série Dokumenty v SharePointu. V prvním díle jsme prošli, co SharePoint umí hned, ve druhém, jak přejít ze serveru po krocích. Dnes konkrétně: dokumentace pro ISO.
Když firma zvažuje, čím začít s převodem dokumentů do SharePointu, doporučuji skoro vždy totéž: dokumentací pro ISO. Je to malá agenda – desítky dokumentů, ne statisíce. Má jasného vlastníka. A hlavně je to místo, kde souborový server opravdu nestačí: auditor nechce vidět složku „Směrnice platné“, ale důkaz, že platné je jen schválené znění, že víte, kdo ho změnil, a že se k němu dostanou ti, kdo mají.
Tenhle díl je o tom, jak to v SharePointu nastavit vestavěnými nástroji, co z toho auditorovi ukážete – a kde je poctivá hranice, za kterou SharePoint sám nedosáhne.
Co normy chtějí po dokumentech
ISO 9001 i ISO/IEC 27001 mají kapitolu o dokumentovaných informacích (podle běžně citovaného znění v obou normách bod 7.5) se stejnou logikou. Zjednodušeně chtějí dvě věci.
Při vytváření a aktualizaci má být dokument řádně identifikovaný (například název, datum, autor nebo číslo), mít vhodný formát a projít přezkoumáním a schválením.
Při řízení má být dokument dostupný tam a tehdy, kde je potřeba, přiměřeně chráněný a mají být pod kontrolou jeho distribuce, přístup, uložení, změny (tedy verze) a nakonec uchování a likvidace.
Obě normy navíc v kapitole 7.3 chtějí, aby si lidé byli vědomi politiky (bezpečnostní, resp. politiky kvality) a důsledků nedodržení požadavků systému řízení. ISO/IEC 27001 pak v příloze A přidává opatření, která se dokumentace přímo týkají. Podle běžně citovaného znění opatření 5.1 mají být politiky schválené vedením, zveřejněné, sdělené dotčeným lidem a jimi vzaté na vědomí a přezkoumávané v plánovaných intervalech. Příloha A podle téhož znění obsahuje i opatření k ochraně záznamů, řízení přístupu a zaznamenávání událostí.
Mapa: požadavek, funkce, licence
| Co auditor chce vidět | Čím to pokryje SharePoint | Licence |
|---|---|---|
| Platné, schválené znění | Schvalování obsahu a hlavní verze – čtenáři vidí jen schválené znění | Všechny firemní plány |
| Historie změn | Automatická historie verzí: kdo, kdy, s možností otevřít a obnovit | Všechny firemní plány |
| Identifikace dokumentu | Povinné vlastnosti: číslo, vlastník, datum revize, typ | Všechny firemní plány |
| Řízení přístupu | Oprávnění na webu a knihovně přes skupiny; autoři upravují, ostatní čtou | Všechny firemní plány |
| Kdo s dokumentem co dělal | Auditní záznam Microsoft 365, záznamy 180 dní, s exportem do CSV | Všechny firemní plány (v plánech Business ho musí jednou zapnout správce); rok s E5 |
| Ochrana proti ztrátě | Koš 93 dní a obnova celé knihovny za posledních 30 dní | Všechny firemní plány |
| Doba uchování a likvidace | Popisky uchovávání | Ruční označování: Business Premium, E3; výchozí popisek knihovny a automatické označování: E5 |
| Seznámení zaměstnanců | Samotný SharePoint neeviduje | – |
Jak nastavit knihovnu pro řízenou dokumentaci
Nejde o složitý projekt. Jeden web, jedna nebo dvě knihovny a pár nastavení, která se dělají jednou.
Samostatný web s jasnými rolemi
Řízená dokumentace patří na vlastní web, ne do týmové knihovny, kam ukládá každý. Role stačí tři: autoři (upravují koncepty), schvalovatelé (schvalují znění) a čtenáři – zbytek firmy, který dokumenty jen čte. Všechny tři role jako skupiny, ne jako jednotlivci; když někdo odejde nebo přijde, mění se členství ve skupině, ne oprávnění dokumentů.
Hlavní a vedlejší verze se schvalováním
V nastavení verzí knihovny zapněte hlavní a vedlejší verze a schvalování obsahu a u zabezpečení konceptů zvolte, že koncepty vidí jen ti, kdo smějí dokumenty upravovat. Rozpracovaný dokument má verzi 1.1, 1.2 a vidí ho autoři a schvalovatelé. Teprve schválením vznikne hlavní verze 2.0 a tu uvidí čtenáři; do té doby čtou předchozí schválené znění. „Platné znění“ tak není otázka názvu souboru, ale stavu v systému.
Na tom omezení viditelnosti konceptů záleží: bez něj by čtenáři mohli vidět i rozpracovaná znění. Má jeden vedlejší účinek, o kterém je dobré vědět – knihovnu s takto omezenými koncepty si lidé nesynchronizují do Průzkumníku Windows plnohodnotně (synchronizuje se jen pro čtení, nebo vůbec). U řízené dokumentace je to ale spíš výhoda: čte se v prohlížeči, kde je vždy platné znění, a ne v lokální kopii.
Povinné vlastnosti a šablona
Pro typ dokumentu „Směrnice“ nebo „Politika“ nastavte povinné vlastnosti – číslo dokumentu, vlastník, datum příští revize, oblast – a výchozí šablonu s firemní hlavičkou. Office pak dokument bez těchto údajů neuloží. Soubor nahraný do knihovny přetažením je ale může mít prázdné, proto kontrola vyplnění patří ke schválení.
Zobrazení „k revizi“
Normy chtějí dokumenty pravidelně přezkoumávat. Zobrazení knihovny filtrované podle data příští revize ukáže vlastníkům, co je po termínu. Kdo chce víc, může na to postavit připomínky v Power Automate; pro začátek stačí zobrazení a disciplína vlastníků.
Uchovávání
Pokud máte Business Premium nebo E3, vytvořte popisky uchovávání podle vaší směrnice – například „Uchovat 5 let od poslední změny“. Popisek zajistí, že dokument se po stanovenou dobu uchová, i když ho někdo smaže, a po jejím uplynutí může být automaticky odstraněn. S těmito licencemi popisek přiřazuje člověk u každého dokumentu ručně; nastavit ho jako výchozí pro celou knihovnu nebo ho přiřazovat automaticky umožňuje až E5. Pro desítky řízených dokumentů je ruční přiřazení zvládnutelné – stačí, aby bylo součástí schválení. Bez těchto licencí zůstává uchování na pravidlech a na koši s obnovou knihovny, které ale pokrývají jen dny, ne roky.
Co auditor uvidí
Když je knihovna takhle nastavená, na typické otázky auditora odpovídáte z jednoho místa:
- „Ukažte mi platnou verzi bezpečnostní politiky.“ Otevřete knihovnu jako čtenář – uvidíte jen schválené znění.
- „Kdy byla schválena?“ Historie verzí ukáže, kdy vznikla hlavní verze, a stav schválení nese komentář schvalovatele. Kdo za dokument odpovídá, máte v povinné vlastnosti „vlastník“.
- „Co se změnilo proti minulé verzi?“ Starší verzi otevřete z historie vedle aktuální.
- „Kdo k ní má přístup?“ Oprávnění knihovny přes tři skupiny místo stromu výjimek.
- „Kdo ji v posledním čtvrtletí otevřel nebo stáhl?“ Export z auditního záznamu Microsoft 365.
To všechno jsou otázky, na které se u souborového serveru odpovídá tabulkou vedenou ručně, pojmenováním souborů nebo dohledáváním v logu.
Kde SharePoint sám nestačí
Poctivě: jednu důležitou věc SharePoint sám nedoloží. Že se zaměstnanci se směrnicí seznámili – kdo, kterou verzi a kdy, a kdo ještě ne. Auditní záznam ukáže, že někdo dokument otevřel, ale otevření není seznámení. A u bezpečnostních politik je přitom podle běžně citovaného znění opatření 5.1 „sděleno a vzato na vědomí“ přímo v požadavku.
Další věci, které vestavěné nástroje pokrývají jen částečně:
- Víceúrovňové schvalování (vlastník, pak bezpečnostní manažer, pak vedení). Vestavěné schvalování obsahu je jednostupňové a novější schvalování v knihovnách umí víc schvalovatelů najednou (stačí jeden, nebo musí všichni), ne však postupně za sebou; vícestupňový proces se staví v Power Automate.
- Pravidelné opakování seznámení – třeba každoroční připomenutí bezpečnostní politiky všem zaměstnancům.
- Přehled plnění – kolik procent lidí má potvrzenou aktuální verzi, po týmech.
Jak se tohle dá řešit – ručně, v Power Automate, nebo specializovanou aplikací – je téma posledního dílu.
Co si z toho odnést
- ISO dokumentace je ideální první krok. Malý rozsah, jasný vlastník a přínos viditelný hned u příštího auditu.
- Schvalování, verze, oprávnění a audit máte v licenci. Stačí jedna dobře nastavená knihovna; uchovávání na roky vyžaduje Business Premium nebo E3/E5.
- Otevření není seznámení. Doložit, že lidé politiku znají, je jediná část, kterou SharePoint sám nepokryje – a auditor se na ni ptá.
V EP365 pomáháme firmám připravit SharePoint na řízenou dokumentaci pro ISO – od návrhu webu, rolí a knihoven přes popisky uchovávání až po zaškolení vlastníků dokumentů. Obvykle jako součást návrhu governance. Pokud vás čeká audit, napište nám – projdeme, co máte a co chybí.
V posledním díle: jak auditorovi doložit, že se lidé se směrnicí seznámili, a co k tomu říká nový zákon o kybernetické bezpečnosti. Porovnáme prezenční listinu, řešení v Power Automate a specializované aplikace.